Система предотвращения вторжений (IPS)
§§IBT7§§¶@definition¶IPS (Intrusion Prevention System) — система предотвращения вторжений, которая анализирует проходящий трафик, выявляет признаки атак или опасного поведения и может автоматически блокировать либо изменять соединение.¶@plain¶IDS наблюдает и сообщает, а IPS располагается в тракте передачи и способна вмешаться. На практике функции IDS/IPS часто входят в состав NGFW, но качество защиты зависит от видимости трафика и настройки правил.¶@use¶IPS настраивают с учётом защищаемых сервисов, допустимого риска ложных блокировок и производительности. Срабатывания анализируют, правила обновляют, исключения ограничивают по времени и области.¶@example¶IPS обнаруживает в HTTP-запросе шаблон эксплуатации известной уязвимости и разрывает соединение до передачи запроса серверу, одновременно создавая событие для SOC.¶@compare¶IDS¦¦IDS обнаруживает и сообщает¤WAF¦/slovar-informacionnoy-bezopasnosti/seti-i-infrastruktura/veb-ekran-prilozheniy-waf¦WAF анализирует веб-запросы на прикладном уровне, а IPS обычно контролирует более широкий сетевой трафик¶@steps¶Трафик¦IPS получает копию потока или располагается на пути прохождения соединения.¤Анализ¦Сигнатуры, протоколы и поведенческие признаки сопоставляются с моделями атак.¤Предотвращение¦При подтверждённом условии пакет блокируется, соединение разрывается или источник ограничивается.¤Настройка¦Срабатывания анализируются, исключения документируются, а правила регулярно обновляются.¶@resources¶Курсы по продуктам вендоров¦https://ibcourses.ru/vendors¦Курс¤Класс NGFW в каталоге СЗИ¦https://ibcourses.ru/katalog-ib-resheniy?class=NGFW¦Решения¤Инструменты Blue Team: от SIEM до EDR — арсенал защитника¦https://ibcourses.ru/instrumenty-blue-team-siem-edr-arsenal¦Статья¶@related¶¶@faq¶Чем IPS отличается от IDS?¦IDS формирует предупреждение, IPS стоит в тракте и может разорвать соединение, отбросить пакет или применить другое действие предотвращения.¤Может ли IPS блокировать легитимный трафик?¦Да. Ошибочная сигнатура или недостаточный контекст могут затронуть легитимный трафик, поэтому нужны настройка, тестирование и контроль исключений.¤Где устанавливают IPS?¦На границах и внутри сети перед защищаемыми сегментами; размещение выбирают по требуемой видимости, производительности и допустимому риску блокировки.